साइबर क्रिमिनल्स हमेशा एक्सेस मैनेजमेंट में ब्लाइंड स्पॉट की तलाश करते हैं, चाहे वे गलत कॉन्फ़िगरेशन हों, खराब क्रेडेंशियल प्रैक्टिस, अनपेक्षित सुरक्षा बग, या कॉर्पोरेट महल के अन्य छिपे हुए दरवाजे हों। अब, जैसे-जैसे संगठन क्लाउड में अपने आधुनिकीकरण के बहाव को जारी रखते हैं, बुरे अभिनेता एक उभरते हुए अवसर का लाभ उठा रहे हैं: संगठन क्लाउड प्रदाताओं का उपयोग कैसे करते हैं, इसमें त्रुटियां और गलत कॉन्फ़िगरेशन तक पहुंचें। पहचान और पहुंच प्रबंधन (IAM) परतें।
बुधवार, 10 अगस्त को ब्लैक हैट यूएसए में एक वार्ता में जिसका शीर्षक था "मैं खटखटाता हूँइगल गोफमैन, एर्मेटिक के शोध प्रमुख, इस उभरते जोखिम सीमा में एक दृष्टिकोण पेश करेंगे। "रक्षकों को यह समझने की जरूरत है कि नई परिधि नेटवर्क परत नहीं है जैसा कि पहले था। अब यह वास्तव में IAM है - यह प्रबंधन परत है जो सभी को नियंत्रित करती है, ”वह डार्क रीडिंग को बताता है।
जटिलता, मशीन की पहचान = असुरक्षा
क्लाउड आईएएम को लागू करते समय सुरक्षा दल सबसे आम नुकसान पर्यावरण की जटिल जटिलता को नहीं पहचानते हैं, उन्होंने नोट किया। इसमें अनुमतियों की बढ़ती मात्रा को समझना और उस सॉफ़्टवेयर-ए-ए-सर्विस (सास) ऐप्स तक पहुंच शामिल है जिसे बनाया गया है।
गोफमैन बताते हैं, "प्रतिद्वंद्वी फ़िशिंग या किसी अन्य दृष्टिकोण के माध्यम से टोकन या क्रेडेंशियल पर अपना हाथ रखना जारी रखते हैं।" “एक समय में, वे हमलावर को स्थानीय मशीन से ज्यादा कुछ नहीं देते थे। लेकिन अब, उन सुरक्षा टोकन की अधिक पहुंच है, क्योंकि पिछले कुछ वर्षों में हर कोई क्लाउड में चला गया है, और क्लाउड संसाधनों तक उनकी अधिक पहुंच है।"
जब बात आती है तो जटिलता का मुद्दा विशेष रूप से विकट होता है मशीन इकाइयां - जो इंसानों के विपरीत, हमेशा काम कर रहे हैं। क्लाउड संदर्भ में, उनका उपयोग API कुंजियों का उपयोग करके क्लाउड API तक पहुंचने के लिए किया जाता है; सर्वर रहित अनुप्रयोगों को सक्षम करें; स्वचालित सुरक्षा भूमिकाएँ (यानी, क्लाउड एक्सेस सर्विस ब्रोकर या CASB); सेवा खातों का उपयोग करके सास ऐप्स और प्रोफाइल को एक दूसरे के साथ एकीकृत करें; और अधिक।
यह देखते हुए कि औसत कंपनी अब सैकड़ों क्लाउड-आधारित ऐप्स और डेटाबेस का उपयोग करती है, मशीन की पहचान का यह द्रव्यमान इंटरवॉवन अनुमतियों का एक अत्यधिक जटिल वेब प्रस्तुत करता है और संगठनों के बुनियादी ढांचे को कम करता है, जिसमें दृश्यता हासिल करना मुश्किल है और इस प्रकार प्रबंधन करना मुश्किल है, गोफमैन कहते हैं। इसलिए विरोधी इन पहचानों का अधिक से अधिक दोहन करने की कोशिश कर रहे हैं।
"हम गैर-मानव पहचान के उपयोग में वृद्धि देख रहे हैं, जिनकी आंतरिक रूप से विभिन्न संसाधनों और विभिन्न सेवाओं तक पहुंच है," वे नोट करते हैं। "ये ऐसी सेवाएं हैं जो अन्य सेवाओं के साथ बोलती हैं। उनके पास अनुमति है, और आमतौर पर मनुष्यों की तुलना में व्यापक पहुंच है। क्लाउड प्रदाता अपने उपयोगकर्ताओं को उनका उपयोग करने के लिए प्रेरित कर रहे हैं, क्योंकि बुनियादी स्तर पर वे उन्हें अधिक सुरक्षित मानते हैं। लेकिन, कुछ शोषण तकनीकें हैं जिनका उपयोग उन गैर-मानवीय पहचानों का उपयोग करके पर्यावरण से समझौता करने के लिए किया जा सकता है।"
उन्होंने कहा कि प्रबंधन की अनुमति वाली मशीन इकाइयां विरोधियों के उपयोग के लिए विशेष रूप से आकर्षक हैं।
"यह मुख्य वैक्टर में से एक है जिसे हम साइबर अपराधियों को लक्षित करते हुए देखते हैं, विशेष रूप से एज़्योर में," वे बताते हैं। "यदि आपको IAM के भीतर उन्हें प्रबंधित करने की गहन समझ नहीं है, तो आप एक सुरक्षा छेद की पेशकश कर रहे हैं।"
क्लाउड में IAM सुरक्षा कैसे बढ़ाएं
एक रक्षात्मक दृष्टिकोण से, गोफमैन कई विकल्पों पर चर्चा करने की योजना बना रहा है जो संगठनों के पास क्लाउड में प्रभावी आईएएम को लागू करने की समस्या के आसपास अपनी बाहों को प्राप्त करने के लिए है। एक के लिए, संगठनों को क्लाउड प्रदाताओं की लॉगिंग क्षमताओं का उपयोग करना चाहिए ताकि यह व्यापक दृष्टिकोण तैयार किया जा सके कि पर्यावरण में कौन - और क्या मौजूद है।
"इन उपकरणों का वास्तव में व्यापक रूप से उपयोग नहीं किया जाता है, लेकिन वे आपके वातावरण में क्या हो रहा है, इसे बेहतर ढंग से समझने के लिए अच्छे विकल्प हैं," वे बताते हैं। "आप हमले की सतह को कम करने के लिए भी लॉगिंग का उपयोग कर सकते हैं, क्योंकि आप देख सकते हैं कि उपयोगकर्ता वास्तव में क्या उपयोग कर रहे हैं, और उनके पास क्या अनुमतियां हैं। व्यवस्थापक भी बताई गई नीतियों की तुलना किसी दिए गए बुनियादी ढांचे के भीतर वास्तव में उपयोग की जा रही नीतियों से भी कर सकते हैं।"
उन्होंने शीर्ष तीन सार्वजनिक क्लाउड प्रदाताओं - अमेज़ॅन वेब सर्विसेज, Google क्लाउड प्लेटफ़ॉर्म, और माइक्रोसॉफ्ट एज़ूर - और उनके सुरक्षा दृष्टिकोणों से विभिन्न आईएएम सेवाओं को तोड़ने और तुलना करने की भी योजना बनाई है, जिनमें से सभी थोड़ा अलग हैं। मल्टी-क्लाउड आईएएम विभिन्न प्रदाताओं के विभिन्न बादलों का उपयोग करने वाले निगमों के लिए एक अतिरिक्त शिकन है, और गोफमैन ने नोट किया कि उनके द्वारा पेश किए जाने वाले उपकरणों के बीच सूक्ष्म अंतर को समझने से बचाव को मजबूत करने में काफी मदद मिल सकती है।
संगठन बुनियादी ढांचे में बेहतर दृश्यता हासिल करने के लिए विभिन्न प्रकार के तीसरे पक्ष, ओपन सोर्स टूल्स का भी उपयोग कर सकते हैं, उन्होंने नोट किया कि वह और उनके सह-प्रस्तुतकर्ता नोम दहन, एर्मेटिक में रिसर्च लीड, एक विकल्प को प्रदर्शित करने की योजना बना रहे हैं।
"क्लाउड आईएएम अति-महत्वपूर्ण है," गोफमैन कहते हैं। "हम खतरों के बारे में बात करने जा रहे हैं, जिन उपकरणों का उपयोग किया जा सकता है, और यह समझने के महत्व को बेहतर ढंग से समझने के लिए कि कौन सी अनुमतियों का उपयोग किया जाता है और किस अनुमति का उपयोग नहीं किया जाता है, और व्यवस्थापक कैसे और कहाँ अंधे धब्बे की पहचान कर सकते हैं।"
